Står en penetrationstest mål med vores størrelse?

Nogle ejere og direktører i mindre virksomheder tænker, at penetrationstest er noget for koncerner med egne sikkerhedsafdelinger. Spørgsmålet er rimeligt, men størrelse er det forkerte målestok. Det, der afgør, om en test står mål med virksomheden, er hvor afhængig forretningen er af sine systemer, hvilke oplysninger den har ansvar for, hvad den viser frem mod internettet, og om den kan bruge resultatet.

En lille virksomhed med en webshop, kundedata og en vigtig erhvervskunde kan have mere brug for en afgrænset test end en større virksomhed med få digitale berøringsflader. Og testen kan skaleres. Den behøver ikke dække alt for at være nyttig.

Proportion handler om risiko, ikke om antal ansatte

Proportionalitet er et begreb, der også går igen i reglerne om databeskyttelse. Ifølge databeskyttelsesforordningens artikel 32 skal sikkerhedsniveauet fastlægges under hensyn til blandt andet det aktuelle tekniske niveau, implementeringsomkostningerne, behandlingens karakter, omfang, sammenhæng og formål og risiciene for de registrerede. Datatilsynets vejledning om behandlingssikkerhed beskriver det som en samlet afvejning.

Tankegangen er nyttig, også ud over persondata. Omkostningen skal stå i forhold til det, der beskyttes. En virksomhed, der behandler få og almindelige oplysninger i et standardsystem, har en anden afvejning end en, der har følsomme oplysninger om kunder i en løsning, den selv har fået udviklet. Teksten er ikke juridisk rådgivning, og forordningen kræver ikke en bestemt type test.

Fem spørgsmål, der afgør proportionen

Ledelsen kan vurdere, om en test står mål med virksomheden, ved at besvare fem spørgsmål:

Afhængighed · hvor længe kan forretningen fungere, hvis de vigtigste systemer er nede? → Hvad står stille, hvis systemerne er nede?
Oplysninger · har vi kundedata, personoplysninger, betalinger eller forretningshemmeligheder, som andre stoler på, at vi beskytter?
Synlighed · hvad har vi åbent mod internettet: webshop, kundeportal, fjernadgang, mail?
Krav udefra · stiller kunder, forsikring eller samarbejdspartnere krav om dokumentation?
Opfølgning · har vi nogen, internt eller hos en leverandør, der kan rette det, testen finder?

Hvis svarene peger på høj afhængighed, værdifulde oplysninger og meget, der er synligt udefra, kan en test stå mål med virksomheden, også selv om den er lille. Hvis svarene peger den anden vej, kan en mindre opgave eller et andet første skridt være mere passende.

Spørgsmålene er ikke en formel, men en måde at gøre samtalen konkret på. Tag dem op på et ledelsesmøde, og lad dem, der kender forretningen, svare sammen med dem, der kender systemerne. Uenighed om svarene er i sig selv nyttig viden, fordi den viser, hvor ledelsens billede af risikoen er uklart.

Testen kan skaleres

Omfanget af en penetrationstest er ikke fast. Den kan dække ét system, fx webshoppen eller adgangen til kontornettet udefra, eller den kan dække en hel virksomhed. For en mindre virksomhed kan det være fornuftigt at starte med det ene område, hvor en svaghed ville gøre mest skade, og udvide senere, hvis der er behov.

Det betyder også, at budgettet kan styres. Opgavens størrelse afhænger af, hvad der skal testes, hvor mange systemer og funktioner der er, og hvor dybt testeren skal gå. Ledelsen kan selv påvirke omfanget ved at prioritere. Hvad der påvirker prisen i jeres tilfælde, kan I få afklaret under pris og tilbud. → Hvad bestemmer omfanget?

Hvordan de forskellige typer test adskiller sig, er beskrevet på opslagsværket penetrationtest.dk. For ledelsen er pointen, at valget mellem en lille og en stor test er et spørgsmål om prioritering og ikke et spørgsmål om at være stor nok.

Når en test er for meget lige nu

Der er situationer, hvor en penetrationstest ikke er det rigtige første skridt. Hvis virksomheden ikke har overblik over sine systemer, hvis kendte opdateringer ikke er installeret, eller hvis ingen har ansvar for sikkerheden, vil en test mest bekræfte det, man allerede ved. Pengene kan så gøre mere gavn ved at få det grundlæggende på plads først.

Et enklere sikkerhedstjek eller en gennemgang af opsætningen kan i de tilfælde give det overblik, der mangler, og gøre en senere test mere værdifuld. Det er ikke et nej til test, men en rækkefølge. → Penetrationstest, scanning eller gennemgang?

Det samme gælder, hvis virksomheden ikke har kapacitet til at følge op. En rapport med fund, som ingen kan rette, skaber mest uro. Sørg for, at der er nogen til at handle, før der bestilles. Det kan være den eksterne IT-leverandør, men så bør det fremgå af aftalen, at rettelser efter en test er en del af opgaven, eller hvordan de i givet fald afregnes. Ellers kan rapporten blive liggende, mens parterne diskuterer, hvem der betaler.

Den mindre virksomheds fordel

Mindre virksomheder har nogle fordele, når de tester. Der er færre systemer, så en afgrænset opgave kan dække en stor del af det, der betyder noget. Vejen fra rapport til beslutning er kort, fordi ejeren eller direktøren selv kan sidde med ansvaret. Og rettelser kan gennemføres hurtigt, når leverandøren har fået klar besked. Endelig kan et testresultat give en mindre leverandør et konkret svar at give en større kunde, som spørger til sikkerheden.

Til gengæld har mindre virksomheder ikke altid nogen internt, der kan oversætte et teknisk resultat. Det taler for at kræve et resumé i forretningssprog og en gennemgang, hvor ledelsen kan stille spørgsmål. → Hvad skal testes først?

Det skal I lade være med

At bruge antal ansatte som målestok · afhængighed og data siger mere end størrelse.
At tro, at en test skal dække alt · et afgrænset område kan være den rigtige start.
At teste, før det grundlæggende er på plads · så bruges testen på det, I allerede ved.
At bestille uden nogen til at rette · resultatet skal kunne bruges.
At kopiere en større virksomheds testplan · jeres risici og budget er jeres egne.

Hvad kan og ikke kan konkluderes

De fem spørgsmål kan give ledelsen et grundlag for at vurdere, om en test står mål med virksomheden nu, og hvor stort et omfang der er rimeligt. De kan også vise, om et andet skridt bør komme først.

De kan ikke give et facit for, hvor meget en virksomhed af en bestemt størrelse bør bruge på test. Der findes ingen fast norm, og afvejningen afhænger af jeres egen forretning. → Skal vi have lavet en penetrationstest?